SonicWall-SSL-VPN: Lücke zur Umgehung von SAML und MFA wird ausgenutzt, warnt CISA
Hoch CVE-2026-19868 SonicWall VPN Firewall MFA SAML

Top-Secured Cyber-Monitoring: unabhängige Analyse auf Grundlage der unten genannten Quellen. Top-Secured ist mit den genannten Unternehmen nicht verbunden und wird Sie niemals nach Bankdaten oder Passwörtern fragen.

Die CISA hat CVE-2026-19868, eine Lücke im SSL-VPN-Dienst der SonicWall-Firewalls mit SonicOS, am 6. November 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Wer gültige Zugangsdaten für eine andere Anmeldemethode besitzt, kann die SAML-Authentifizierung und die damit erzwungene Mehrfaktor-Authentifizierung umgehen; korrigierte SonicOS-Versionen sind verfügbar.

Was passiert ist

SonicWall hat am 6. November 2026 das Sicherheitsbulletin SNWLID-2026-0014 veröffentlicht, das mehrere Lücken in SonicOS behebt, dem System seiner Gen7- und Gen8-Firewalls. Am selben Tag nahm die US-Behörde CISA eine davon, CVE-2026-19868, in ihren Katalog bekannter ausgenutzter Schwachstellen auf und gab Bundesbehörden bis zum 20. November Zeit zur Behebung. In seiner Meldung vom 9. November schreibt das französische CERT-FR, dass SonicWall eine aktive Ausnutzung meldet.

Wie die Lücke funktioniert

Laut dem von SonicWall verfassten CVE-Eintrag setzt der SSL-VPN-Dienst die gewählte Anmeldemethode nicht korrekt durch. Wer gültige Zugangsdaten für eine alternative Methode besitzt, etwa ein lokales Konto, kann sich ohne SAML anmelden und damit auch ohne die Mehrfaktor-Authentifizierung, die SAML erzwingen sollte. Die CISA bewertet die Lücke mit 7,5 von 10. In der Praxis reicht ein gestohlenes oder anderswo wiederverwendetes Passwort, um eine VPN-Sitzung zu öffnen, die das Unternehmen für MFA-geschützt hielt.

Betroffen sind SonicOS 7.3.3-7015 und älter sowie 8.2.2-8015 und älter. Das CERT-FR stuft Versionen vor 7.3.4-7013 und 8.2.3-8015 als verwundbar ein.

Was jetzt zu tun ist

  1. Aktualisieren Sie SonicOS auf 7.3.4-7013 (Gen7) oder 8.2.3-8015 (Gen8) oder neuer, gemäß Bulletin SNWLID-2026-0014.
  2. Erfassen Sie die Anmeldemethoden des SSL-VPN: Entfernen Sie lokale oder LDAP-Konten, die sich dort nicht anmelden müssen, wenn SAML Ihr Standard ist.
  3. Setzen Sie die Passwörter aller VPN-berechtigten Konten zurück, zuerst die Administrator- und Dienstkonten.
  4. Prüfen Sie die VPN-Protokolle seit Oktober: Sitzungen ohne SAML-Schritt, ungewöhnliche Quell-IP-Adressen, Anmeldungen zu ungewöhnlichen Zeiten.
  5. Muss das VPN-Portal nicht aus dem ganzen Internet erreichbar sein, schränken Sie es nach Land oder Quelladresse ein.

Unsere Einschätzung

MFA schützt ein VPN nur, wenn jeder Zugangsweg über MFA führt. Ein altes lokales Notfallkonto genügt, um das ganze Konzept auszuhebeln: Inventarisieren Sie die Anmeldemethoden Ihrer exponierten Geräte so sorgfältig, wie Sie sie patchen.

Quellen

Wie wir unsere Analysen auswählen, prüfen und schreiben →

Gestohlene Zugangsdaten beginnen oft mit einer Phishing-Nachricht. Eine verdächtige Nachricht (SMS, WhatsApp, soziale Netzwerke) oder E-Mail erhalten? Prüfen Sie sie, bevor Sie klicken:

Eine Nachricht prüfen E-Mail prüfen

Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.

Mit einem Experten sprechen Unsere Managed Server Services →
Zurück zu allen News